Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO (Datenschutz-Grundverordnung) und des österreichischen Datenschutzgesetzes (DSG) ist:

Kurz gesagt: Wir speichern nur, was du für KinderPortfolio brauchst. Damit du genau weißt, was dazugehört, findest du hier die vollständige Übersicht:

Für Kindergarten-Accounts:

• Anmeldedaten: E-Mail-Adresse, gehashtes Passwort
• Profilangaben: Anzeigename, Rolle in der Einrichtung
• Einrichtungsdaten: Name des Kindergartens, Gruppen, Mitgliedschaften
• Portfolio-Inhalte: Fotos, Zeichnungen, Texte zu Kindern
• Kinderdaten: Vorname, Nachname, Geburtsdatum, Gruppe
• Verbindungsdaten: E-Mail-Adressen von Erziehungsberechtigten (für Einladungen)
• Kommunikation: Übergaben, Aufgaben und geteilte Inhalte an Familien

Für Familien-Accounts:

• Anmeldedaten: E-Mail-Adresse, gehashtes Passwort
• Profilangaben: Anzeigename
• Kinderdaten: Name, Farbe (Anzeige), optionale Verknüpfung mit Kindergarten-Kind
• Momente: Fotos, Zeichnungen, Texte als private Familienchronik
• Verbindungsdaten: Kindergarten-Verbindungen und empfangene Inhalte

Technische Daten (automatisch):

• Session-Tokens (in sicheren HTTP-only Cookies, kein Tracking)
• Server-Logs (IP-Adresse, Timestamp, HTTP-Status) — kurzzeitig bei Vercel

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Betrieb des Dienstes, Portfolio-Dokumentation, Kindergarten-Familie-Kommunikation.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit des Dienstes, Fehlerbehebung, Missbrauchsprävention.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Wo wir ausdrücklich nach Einwilligung fragen (z.B. optionale E-Mail-Benachrichtigungen).

Kinderdaten: Die Verarbeitung von Daten minderjähriger Kinder erfolgt ausschließlich im Auftrag und unter Verantwortung des jeweiligen Kindergartens (als eigener Verantwortlicher im pädagogischen Kontext) bzw. der Erziehungsberechtigten. KinderPortfolio verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO.

• Kontodaten werden für die Dauer des Vertragsverhältnisses gespeichert und auf Antrag oder bei Kontolöschung gelöscht.
• Inhalte (Fotos, Portfolioseiten) werden bei Kontolöschung ebenfalls entfernt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Server-Logs werden typischerweise nach 30 Tagen gelöscht (abhängig vom Hosting-Anbieter).
• Inhalte, die ein Kindergarten an eine Familie übergeben hat, verbleiben im Familien-Account, auch wenn die Verbindung widerrufen wird — dies entspricht dem Prinzip, dass übergebene Dokumente beim Empfänger verbleiben.

Wir verkaufen deine Daten nicht und geben sie nicht für Werbung weiter. Ausschließlich technische Dienstleister (Auftragsverarbeiter), die wir für den sicheren Betrieb von KinderPortfolio benötigen, erhalten die dafür notwendigen Daten. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Auftragsverarbeiter:

• Vercel Inc. — Hosting, Serverless-Funktionen und CDN (San Francisco, USA (SCCs abgeschlossen)). Datenschutzerklärung
• Cloudflare R2 / Cloudflare Inc. — Speicherung von Mediadateien (Fotos, Zeichnungen) (EU-Region). Datenschutzerklärung
• Supabase Inc. — Datenbank, Authentifizierung und Echtzeit-Infrastruktur (EU (Frankfurt / AWS eu-central-1)). Datenschutzerklärung
• Resend (Resend Inc.) — Transaktionale E-Mails (Einladungen, Benachrichtigungen) (San Francisco, USA (SCCs abgeschlossen)). Datenschutzerklärung
• Stripe Inc. — Zahlungsabwicklung und Abonnement-Verwaltung (San Francisco, USA / Irland (EU) — SCCs). Datenschutzerklärung

Für Datenübertragungen in Drittländer (USA) wurden Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO abgeschlossen.

KinderPortfolio verwendet ausschließlich technisch notwendige Cookies für die Authentifizierung (Session-Token). Diese sind HTTP-only, haben keine Werbe- oder Tracking-Funktion und sind für den Betrieb des Dienstes erforderlich. Es werden keine Third-Party-Tracking-Cookies eingesetzt.

Du hast das Recht auf:

• Auskunft (Art. 15 DSGVO): Welche Daten wir über dich gespeichert haben.
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO): Löschung deines Kontos inkl. aller Daten.
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung.
• Datenübertragbarkeit (Art. 20 DSGVO): Export deiner Daten auf Anfrage.
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.

Um deine Rechte auszuüben, schreib uns an: team@kinderportfolio.com. Wir antworten innerhalb von 30 Tagen. Du hast außerdem das Recht, eine Beschwerde bei der österreichischen Datenschutzbehörde einzulegen.

Der Schutz deiner Daten ist ein fester Bestandteil von KinderPortfolio. Alle Verbindungen sind TLS-verschlüsselt (HTTPS), Passwörter werden ausschließlich gehasht gespeichert (bcrypt via Supabase Auth) und niemals im Klartext abgelegt. Mediadateien wie Fotos und Zeichnungen liegen in einem privaten, nicht öffentlich zugänglichen Bucket. Sie werden nur über zeitlich begrenzte, signierte URLs ausgeliefert.

Wir behalten uns vor, diese Datenschutzerklärung bei rechtlichen oder technischen Änderungen zu aktualisieren. Das Datum der letzten Aktualisierung steht immer oben auf dieser Seite. Bei wesentlichen Änderungen werden eingeloggte Nutzerinnen und Nutzer per E-Mail informiert.